Quo vadis, certificat?

El pal de paller de les polítiques de seguretat i identificació a la xarxa son els certificats: una criptografia robusta i el reconeixement jurídic de l’equivalència amb la signatura manuscrita fan que siguin la tecnologia ideal per a la seguretat.

Però totes aquestes bondats tecnològiques no acaben de quadrar amb la facilitat d’ús rapidesa, comodització i descuit que comporten les aplicacions, dispositius i el públic d’avui en dia, i el poc suport per part dels fabricants no ho facilita.

Per fer la correcta gestió d’un certificat t’has de personar físicament en un lloc, demostrar que ets tu (o portar uns poders, imagina’t!), després instal·lar-te’l en un o varis dispositius que usis (si es pot), tenir-ne cura i vigilar que no te’l robin i encara després, anar-lo renovant.

En un entorn empresarial/professional això té un sentit i aquestes feines es fan i amb diferents suports (certificats software, targes criptogràfiques, o amb HSMs), però ves i diga-li a un ciutadà mitjà que ha de fer això. La gran majoria faran una ganyota, uns quants ho faran i l’usaran i un grup més petit encara es molestarà en entendre el perquè de tot plegat (sense entrar en raons tècniques).

S’entén doncs la poca expansió de l’ús de certificats malgrat els anys que fa que n’hi han, malgrat les campanyes per exemple del DNIe o de l’idCAT (en diferents suports) o l’impuls a la e-Administració. El que més ha triomfat és el de FNMT, i perquè l’usa Hisenda per tal que presentis la declaració de la renda.

A tot això, suma-li que està pensat (o es molt més còmode fer-lo anar) sobre un ordinador, i encara tindràs menys ús, perquè el que es demana cada vegada més és mobilitat (telèfon o tablet), i aquí si que topem amb un mur.

Vist això, als certificats, com els coneixem fins ara, no els veig gaire futur.

Desapareixeran? No, és clar que no. A la banda servidor seguiran existint, en el mon empresarial també… però en el dia a dia dels usuaris acabaran desapareixent… de les interfícies.

Signatura biomètrica
Els seguirem trobant, però darrere de solucions portàtils com signatures biomètriques, identificacions i claus d’un sol ús enviades al mòbil, proves de coneixença (preguntes) o similars
. Totes aquestes tecnologies, que no requereixen d’anar carregant ni custodiant un certificat software o hardware, o que es basen en aparells (mòbils) que tots portem a sobre, son les que ens anirem trobant cada vegada més.

La mobilitat i per tant la comodització de les solucions allunyen cada vegada més l’usuari final de fer-se càrrec de la seva pròpia identitat amb mitjans digitals propis, i deixen aquestes proves a càrrec de tercers que seran els que generin el certificat a partir de claus d’un sol ús generades amb dades numèriques que només l’usuari pot haver produït/saber/posseir.

I els sistemes jurídics que donen validesa a tots aquests processos s’acabaran adaptant a aquestes tecnologies.

Així que seguirem tenint certificats, i usant-los, però segurament sense gairebé adonar-nos-en que ho fem.

Java, certificats i e-Administració: més difícil encara


Google ha deixat de donar suport a Java des de setembre, Microsoft no suporta certificats digitals a Edge, l’API criptogràfica del W3c no arrenca, el suport per certificats no és fàcil a Linux…

Fet i fet, la e-administració sembla que té els peus de fang, o que li estan fent el llit.

Per treballar on-line amb l’Administració (sigui quina sigui) necessitem certificats per identificar-nos de manera segura i fiable (jurídicament fiable, de manera que es pugui demostrar qui som davant de tercers i els nostres actes tinguin validesa – per això la identificació usuari/password no és vàlida en tots els casos) i, si volem signar des del navegador, actualment java és la única tecnología “universal” a la banda client (mentre els fabricants de navegadors no implementin completament la API del W3C).

Però precisament aquests dos son els grans problemes que hi ha:

  • Els certificats: complicats d’usar, gestionar i entendre, magatzems diferents on guardar-los (Windows, Mac, Linux, Firefox per la seva banda), suports que tremolen (Edge), suport discutible i poca usabilitat (DNIe), finalitats del certificat, validesa…
  • Java: és pesat, les actualitzacions contínues son un calvari per usuaris i administració, no té suport complert a tots els sistemes operatius, i cadascú té versions diferents… un malson de manteniment per als informàtics i una font de disgustos per als usuaris.

Si a tot això hi afegim la necessitat i complexitat de donar també servei i facilitats en mobilitat, la cosa ja pinta negra, negra.

Hi ha solucions, alternatives (l’esmentada API, eines de signatura biomètrica que faciliten la vida a l’usuari , iniciatives com cl@ve) però la mateixa manera de fer de l’Administració (els seus propis requeriments administratius i jurídics) no ho facilita:

  • Què entenem per signatura? Documents signats, o accions signades i validades mitjançant un password o un pin?
  • Guardem documents? Això vol dir pdf signats? O ens valdria signar xml’s, afegint-hi una prova mitjançant una clau d’un sol ús generada a partir d’un password?
  • Si no s’usen certificats, com es construeix la representació de poders, com identifiquem representants, etc? Quan se sap com signo amb un certificat privat o un de pertanyença a una empresa, per fer determinat tipus de tràmits?
  • Si no s’usen signatures amb certificats, sinó altres tipus de signatures o comprovants signats (imaginem accions validades amb PINs), com demostrem la validesa davant de tercers? Serà universal, interoperable? Seran solucions compatibles amb el món privat?
  • Si s’usen eines com el DNI en el núvol, quina infraestructura caldrà? Federacions de HSM? Qui les mantindria? Com s’entendrien? No fem a l’usuari massa depenent de l’Administració?

I si generem signatures dependents d’entorns, circumstàncies o dades foranes, com assegurem la validesa a llarg termini? Com es guardarien les dades que ens asseguressin la fiabilitat de la signatura/comprovant?

No és que no es pugui fer, però el tancament de camins tecnològics per part dels fabricants sembla portar-nos a un redibuix de tota l’estructura de suport a la eAdministració que teníem fins ara…

Escric aquest article bastant a rajaploma, així que segurament molts dels arguments i idees exposats son discutibles i puntualitzables, en sóc molt conscient, i sempre trobarem nous camins i sortiran noves alternatives i solucions tecnològiques…

De tot això, però, en podem treure dos lliçons des de ja:

  • Cal que la tecnologia s’adapti a la eAdministració: cal tenir en compte factors com seguretat, facilitat d’ús, independència, validesa a llarg termini, autocontenció de les dades…
  • Cal que l’Administració es simplifiqui per facilitar l’ús, l’adopció i l’adaptació a la tecnologia.

Renovar el DNI electrònic

El DNI electrònic no acaba d’arrencar. Heu provat d’usar-lo? Heu pogut fer-ho? Primer et cal un lector, quan el tens, cal instal·lar els drivers (ai!, si vas amb Linux o Mac), i després, quan ja el tens reconegut, resulta que usar-lo és d’allò més incòmode perquè et demanen el pin ara sí, ara també. I, per postres, el DNI dura anys, i el certificat inclòs 30 mesos.

I és una llàstima, perquè si s’hi posés una mica de voluntat podria ser un mecanisme segur i gairebé universal d’identificació i signatura, com a mínim de cara als ciutadans, tant per usos amb l’Administració com per usos entre particulars o empreses… I el que cal no és una inversió desmesurada: son idees.

Millorant els usos del DNI-e (ampliant la base de possibilitats i llocs on usar-lo: administració i empreses, identificació i signatura), millorant-ne la usabilitat (no haver d’entrar el PIN cada vegada que s’hi accedeix per llegir-lo), l’accessibilitat (qui té un lector de targetes amb xip a la seva màquina?) i/o sobretot la portabilitat (diferents dispositius, mobilització del certificat), es podria guanyar una base d’ús enorme, incrementant d’aquesta manera la seguretat en moltes de les transferències electròniques i, de retruc, augmentant la confiança en el e-comerç.

No fa gaire, per exemple, Telefònica ha proposat la inclusió del DNI al mòbil, per usos d’identificació: ampliar aquest ús a la resta d’operadores(*) podria fer que s’usés el mòbil per identificar-nos davant de l’Administració o de portals privats, i lligar això amb tecnologies com NFC encara n’ampliaria més les potencialitats. La creixent mobilització de moltes aplicacions i l’ús cada vegada més extès que fa la ciutadania dels mòbils son bones raons que expliquen aquest interès.

Sigui com sigui, una vegada arrencada la distribució del DNI-e, l’únic que es pot fer és millorar-lo (és a dir, fer més fàcil el seu ús) i aprofitar les oportunitats que la inversió pública realitzada ofereix: comoditat en les relacions amb la administració (identitat assegurada) i més seguretat en relacions i transaccions d’informació amb serveis privats.

* Ho lliguen de manera molt restrictiva a una certificació d’accés de la seva companyia